第四篇：AI驱动威胁狩猎：从假设生成到ATTCK闭环验证（附狩猎工作流与查询模板）
上三篇完成信号提取层全链路落地：单源日志降噪结构化、多源日志实体对齐与攻击链还原。从本篇开始进入专栏第二大核心模块——假设生成层，聚焦主动防御核心能力：威胁狩猎。
告警是被动等待攻击者触发规则，狩猎是主动出门寻找潜伏在环境中、从未触发任何告警的恶意行为。我接触过大量团队的现状：SOC告警运维已经跑通，但威胁狩猎长期流于形式，核心痛点高度统一。
- 狩猎思路高度依赖资深分析师个人经验，新人无标准化路径，经验无法沉淀复用；
- ATT&CK框架仅作为事后复盘工具，无法反向指导狩猎查询编写；
- 狩猎假设天马行空，缺少验证闭环，产出大量无落地价值的猜想；
- 云原生、容器、IAM权限类隐蔽攻击行为，传统关键字狩猎完全覆盖不到。
引入AI不是替代狩猎工程师，而是补齐两大短板：批量生成可落地的狩猎假设、自动映射ATT&CK并产出对应检索语句，把资深分析师的隐性狩猎思路标准化、规模化。同时全篇贯穿专栏核心准则：AI仅输出假设，全部结论必须经过对抗式审查+人工验证，杜绝直接采信AI狩猎结果。
一、威胁狩猎的完整闭环，传统流程卡点在哪
标准狩猎闭环分为五步：环境资产摸底→狩猎假设生成→ATT&CK战术映射→编写检索查询→执行验证复盘。绝大多数团队卡在第二步和第四步。
1. 传统狩猎三大核心瓶颈
假设生成依赖个人攻防经验
只做终端运维的分析师，很难想到云IAM横向移动、容器逃逸